Les passeports post-quantiques pourraient être trop lents

Les passeports post-quantiques sont techniquement réalisables sur les puces sécurisées actuelles, mais la véritable question est de savoir s'ils peuvent répondre aux exigences de vitesse et de sécurité des systèmes de contrôle aux frontières. Dans un nouvel extrait de la conférence sur la cryptographie post-quantique d'Elektor Academy Pro, Nouri Alnahawi, assistant de recherche et doctorant à la Hochschule Darmstadt, explique pourquoi la mise à niveau d'un passeport électronique ne consiste pas simplement à remplacer un algorithme par un autre.

Les passeports post-quantiques sur les puces actuelles

Alnahawi indique que la cryptographie post-quantique est généralement réalisable sur le matériel actuel des documents de voyage électroniques lisibles par machine (eMRTD). Le problème tient aux performances. Une opération cryptographique qui prend aujourd'hui environ 250 ms pourrait nécessiter 1 à 2 s avec une implémentation post-quantique. Cela peut sembler un faible délai, mais, multiplié à l'échelle d'un portique frontalier automatisé, il peut affecter le débit, la convivialité et la certification par des organismes tels que le BSI allemand et l'Organisation de l'aviation civile internationale (OACI), comme l'explique Alnahawi dans l'extrait ci-dessous :

La vitesse est aussi un facteur de sécurité

La perte de performances n'est pas seulement une contrainte pratique. Alnahawi estime que des temps d'exécution plus longs peuvent accroître la fenêtre d'observation des attaques par canaux auxiliaires et par injection de fautes. Les lecteurs de passeports installés sur des portiques automatisés peuvent être physiquement isolés, ce qui réduit certaines possibilités d'attaque, mais les eMRTD sont utilisés dans bien d'autres contextes que les portiques aéroportuaires. Une implémentation lente peut donc élargir la surface d'attaque au niveau de l'implémentation.

Le choix de l'algorithme est également déterminant. La norme ML-KEM du NIST offre un compromis relativement pratique entre sécurité, taille des clés et performances, mais Alnahawi souligne que Saber peut être plus rapide dans certaines implémentations sur des systèmes contraints. FrodoKEM, qui évite la structure supplémentaire utilisée par les schémas à réseau modulaire, s'est révélé trop volumineux lors des essais menés par l'équipe sur sa carte de développement. En sécurité embarquée, l'élégance mathématique doit aussi tenir en mémoire et s'exécuter avant que le voyageur ne s'impatiente devant le portique.

L'optimisation matérielle devrait améliorer la situation. Alnahawi cite des fournisseurs de semi-conducteurs tels que NXP, qui préparent des dispositifs sécurisés avec un meilleur support post-quantique. NXP a précédemment mis en avant la taille accrue des clés et la latence plus élevée que peuvent entraîner ces algorithmes, ainsi que leur impact sur l'infrastructure à clé publique existante.

L'absence de remplacement pour PACE

Les signatures numériques ne constituent qu'une partie de la chaîne de sécurité du passeport. ML-DSA peut fournir des signatures résistantes aux attaques quantiques pour les certificats et l'infrastructure à clé publique, mais la puce et le lecteur doivent toujours établir une session sécurisée. Les eMRTD actuels utilisent généralement PACE (Password Authenticated Connection Establishment) pour cette étape.

La préoccupation d'Alnahawi est qu'il n'existe toujours pas de protocole post-quantique d'établissement de clé authentifié par mot de passe prêt à remplacer ou à compléter le PACE classique. Si l'établissement de session continue de reposer sur le protocole classique Diffie-Hellman, cette partie du système restera exposée à la future menace quantique, même si les certificats ont migré vers ML-DSA.

Il ne s'agit pas d'affirmer que « les passeports sont compromis », mais de constater que les passeports post-quantiques semblent réalisables, à condition que les algorithmes, les protocoles, l'accélération matérielle, la résistance aux canaux auxiliaires, l'interopérabilité et la certification progressent de concert. Une primitive standardisée reste nécessaire. Ce n'est pas encore un système abouti.